WinpCap抓包 公開的免費的抓包驅動加開發包

WinpCap是一個公開的免費的抓包驅動加開發包，利用它，可以大大縮短我們的開發週期。
首先，先枚舉系統中的所有網卡：
/* 獲取設備列表 */  
 if (pcap_findalldevs(&alldevs, errbuf) == -1)
 {
  fprintf(stderr,"Error in pcap_findalldevs: %s\n", errbuf);
  exit(1);
 }
 /* 數據列表 */  
 for(d=alldevs; d; d=d->next)
 {
  printf("%d. %s", ++i, d->name);
  if (d->description)
   printf(" (%s)\n", d->description);
  else
   printf(" (No description available)\n");
 }
然後選擇網卡，然後設備。
if ( (adhandle= pcap_open_live(d->name, //設備名  
  65536, // 捕捉完整的數據包  
  1 , // 混在模式  
  1, // 讀入超時  
  errbuf // 錯誤緩衝  
  ) ) == NULL)
 {
  printf("Unable to open the adapter");
  pcap_freealldevs(alldevs);
  return;  
 }
打開設備之後，我們就可以利用adhandle句柄來正式抓包了，先新建一個回調函數，形如
void packet_handler(u_char* packets,const struct pcap_pkthdr *header,const u_char *data)
{

 }
然 後調用pcap_loop(adhandle, 0, packet_handler, NULL);pcap_loop的最後一個參數和packet_handler的packets參數是對應的，用於在函數間傳遞數據。WinpCap每收 到一個包就自動調用packet_handler函數，將包的內容作爲data參數，我們對data作強制類型轉化就可以得到數據包各部分的內容。
事實上，WinpCap開發包除了可以用回調函數抓包外，還可以用非回調的方法。在得到adhandle後不調用pcap_loop，而用下面的方法：
while(1)
 {
   res = pcap_next_ex(adhandle,&header,&data);
  if(res==0)
  {
   Sleep(100);
   continue;
  }
}
用pcap_next_ex讀取數據包內容，至於if(res==0)這一段是爲了防止沒數據包到達時重複循環。
不多講了全部源程序可看附件。附件中有兩個抓包程序，一個是GUI的，一個是CUI的。CUI程序的運行結果如下：


附件下載：
WinpCap開發包 ：
WinPcap_4_0_beta3.rar
CUI抓包源程序：
CapPack.rar
GUI抓包源程序（MFC）：
MFCCapPack.rar


http://blog.chinaunix.net/uid-488742-id-2113731.html

2.
Linux下編寫網絡抓包程序


某些時候，我們需要在應用程序中捕獲網卡收到的所有數據包並進行分析。爲了實現這一功能，應用程序需要藉助底層系統的支持。當今主流的操作系統都提供了一個很強大的功能：允許應用程序訪問數據鏈路層。

類UNIX操作系統上提供了三種不同的方式訪問數據鏈路層，分別是BSD的BSD分組過濾器(BPF)、SVR4的數據鏈路提供者接口(DLPI)和Linux的SOCK_PACKET接口。幸運的是，程序員不需要了解這些不同接口的細節，直接使用Libpcap函數庫就可以。

Libpcap是一個提供了針對網絡數據包捕獲系統的高層接口的開源函數庫。其作用是提供獨立於平臺的應用程序接口，以消除程序中針對不同操作系統所包含的數據包捕獲代碼模塊。這樣以來，就解決了程序移植性的問題，有利於提高開發的效率。

Libpcap運行於大多數類UNIX操作系統上，完整的文檔和源碼可以從tcpdump的官方網站上獲得: http://www.tcpdump.org 其Windows版本 Winpcap可已從 http://www.winpcap.org獲取。下面介紹如何使用Libpcap來捕獲數據包

char *pcap_lookupdev(char *errbuf); 
        功能：查找用於捕獲數據包的缺省設備
        errbuf ：錯誤時保存出錯信息
        返回值：成功時返回設備名稱；出錯時返回NULL

pcap_t *pcap_open_live(const char *device, int snaplen, int promisc, int to_ms, char *errbuf);
        功能：打開用於捕獲數據包的網絡設備
        device：設備名稱
        snaplen：要捕獲的數據包的最大字節數
        prosmic：網絡設備工作模式(0表示非混雜模式，其他值表示混雜模式)
        to_ms： 從內核空間複製數據前等待的時間
        err_buf：錯誤時保存出錯信息
        返回值：成功時返回pcap_t類型的接口描述符(句柄)；出錯時返回NULL

const u_char *pcap_next(pcap_t *p, struct pcap_pkthdr *h); 
        功能：捕獲下一個數據包
        p：接口描述符
        h：捕獲的數據包的信息 
        返回值：成功時返回指向捕獲的數據的指針；出錯時返回NULL

typedef void (*pcap_handler)(u_char *user, const struct pcap_pkthdr *h, const u_char *bytes); 
        const u_char *pcap_loop(pcap_t *p, int cnt, pcap_handler callback, u_char *user); 
        功能： 捕獲下一個數據包
        cnt ：要捕獲的數據包的個數
        callback ：捕獲到數據包時執行的回調函數
        user：傳遞給回調函數的參數
        返回值：成功時返回0；出錯時返回-1

int pcap_compile(pcap_t *p, struct bpf_program *fp, char *str, int optimize, bpf_u_int32 netmask); 
        功能：創建過濾器
        p ：接口描述符
        fp：指向保存過濾器的結構體的指針
        str：要轉化的過濾規則
        optimize： 過濾器是否要優化
        netmask：網絡掩碼
        返回值：成功時返回0；出錯時返回-1

int pcap_setfilter(pcap_t *p, struct bpf_program *fp); 
        功能： 安裝過濾器
        p：接口描述符
        fp：指向包含過濾器的結構體的指針
        返回值：成功時返回0；出錯時返回-1

以下實例代碼實現捕獲並顯示3個ARP包
        #include <stdio.h>
        #include <stdlib.h>
        #include <string.h>
        #include <pcap.h>

#define MAXBYTES2CAPTURE 2048

void ProcessPacket(u_char *arg, const struct pcap_pkthdr *pkthdr, const u_char *packet)
        {
                int i = 0, *counter = (int *)arg;

        printf("Packet Count : %d\n", ++(*counter));
                printf("Received Packet Size: %d\n", pkthdr->len);
                printf("Payload:\n");
                for (i=0; i<pkthdr->len; i++)
                {
                        printf("%02x ", (unsigned int)packet[i]);

                if ( (i%16 = = 15 && i != 0) || (i = = pkthdr->len -1))
                        {
                                printf("\n");
                        }
                }
                printf("\n\n************************************************\n");
                return;
        }

int main(int argc, char *argv[])
        {
                int i = 0, count = 0;
                pcap_t *descr = NULL;
                char errbuf[PCAP_ERRBUF_SIZE], *device = NULL;
                bpf_u_int32 netaddr = 0, mask = 0;
                struct bpf_program filter;

        memset(errbuf, 0, sizeof(errbuf));

        if (argc != 2)
                {
                        device = pcap_lookupdev(errbuf);
                }
                else
                {
                        device = argv[1];
                }
                printf("Try to open device %s\n", device);

        if((descr = pcap_open_live(device, MAXBYTES2CAPTURE, 1, 0, errbuf)) = =NULL)
                {
                        printf("error : %s\n", errbuf);
                        exit(-1);
                }
                pcap_lookupnet(device, &netaddr, &mask, errbuf);

        if (pcap_compile(descr, &filter, "arp and ether host 00:0c:29:b7:f6:33",0, mask) < 0)
                {
                        printf("pcap_compile error\n");
                        exit(-1);
                }

                pcap_setfilter(descr, &filter);

                pcap_loop(descr, 3, ProcessPacket, (u_char *)&count);

                return 0;
        }